Helsinki (12.12.2002) - Islantilaisen Tech XCorp INC:n tietoturva-asiantuntijat ovat löytäneet suositusta Red Hat Linux 8.0:sta tietoturva-aukon, joka koskee myös kerneliä.
Tietoturva-aukon avulla ulkopuolisten tahojen on mahdollista saada selville linux käyttäjän henkilökohtaisia tietoja, kuten mm. käyttäjätunnuksia ja salasanoja. Tietoturva-aukosta on ilmoitettu joulukuun alussa Red Hat INC:lle, joka on vahvistanut ongelman ja sen vakavuuden sekä ilmoittanut pikaisen korjaustyön alkaneeksi.
Linux hakkerin on mahdollista tallentaa käyttöjärjestelmästä scriptejä, joihin voidaan tallettaa käyttäjää yksilöiviä tietoja. Tekniikka on suunniltetu niin, että nämä tiedot ovat vain ne tallentaneen hakkerin eli tässä tapauksessa root-oikeuksillä olevan rikollisen käytössä.
Yleensä scriptit sisältävät käyttäjää yksilöiviä tietoja. Jossakin tapauksessa tiedot voivat sisältää jopa käyttäjätunnus- ja salasanatietoja esimerkiksi intranet-palvelimille ja pankin Internet-järjestelmään. Nämä tiedot voivat joutua tietoturva-aukon johdosta ulkopuolisten käsiin.
Huomattu aukko mahdollistaa selaimen tallentamien cookie-tietojen vastaanottamisen ja tallentamisen sivuosoitteesta riippumatta mille tahansa palvelimelle. Käyttäjä ei välttämättä saa mitään tietoa siitä, että jokin sivusto kerää hänen selaimestaan cookie-tietoja, jotka on tarkoitettu muille palvelimille.
Tietoturva-aukon avulla ulkopuolisten tahojen on mahdollista saada selville linux käyttäjän henkilökohtaisia tietoja, kuten mm. käyttäjätunnuksia ja salasanoja. Tietoturva-aukosta on ilmoitettu joulukuun alussa Red Hat INC:lle, joka on vahvistanut ongelman ja sen vakavuuden sekä ilmoittanut pikaisen korjaustyön alkaneeksi.
Linux hakkerin on mahdollista tallentaa käyttöjärjestelmästä scriptejä, joihin voidaan tallettaa käyttäjää yksilöiviä tietoja. Tekniikka on suunniltetu niin, että nämä tiedot ovat vain ne tallentaneen hakkerin eli tässä tapauksessa root-oikeuksillä olevan rikollisen käytössä.
Yleensä scriptit sisältävät käyttäjää yksilöiviä tietoja. Jossakin tapauksessa tiedot voivat sisältää jopa käyttäjätunnus- ja salasanatietoja esimerkiksi intranet-palvelimille ja pankin Internet-järjestelmään. Nämä tiedot voivat joutua tietoturva-aukon johdosta ulkopuolisten käsiin.
Huomattu aukko mahdollistaa selaimen tallentamien cookie-tietojen vastaanottamisen ja tallentamisen sivuosoitteesta riippumatta mille tahansa palvelimelle. Käyttäjä ei välttämättä saa mitään tietoa siitä, että jokin sivusto kerää hänen selaimestaan cookie-tietoja, jotka on tarkoitettu muille palvelimille.
Vastaukset 11
Vanhimmat
toi uutinen oli? En löytänyt sitä mistään..
Opettele pentti a) suomenkieltä b) lukemaan c) edes perustiedot linuxista ja tekniikasta mikäli aiot toistamiseen kirjoittaa minun nimissäni.
Peelo.
Kuka täällä esiintyy ja kenen nimissä ? Minä olen tällä ja usealla muulla palstalla auttanut ihmisiä pyyteettä parhaani mukaan kaikissa tietotekniikkaan liittyvissä asioissa (olen työtön ja minulla on aikaa auttaa muita), ja tämäkö on siitä kiitos !! Vai että peelo, itse olet. Pyydän että lopetat.
Bits(c)
Sinä voit olla työtön, Bits(c) ei ole. Kokeiles nyt ensin opetella minun ilmaisutyylini.
Kuten tuossa Sodat-palstalla juuri totesin, minun nimissäni kirjoittaminen on osoitus tietynlaisesta kuuluisuudesta, tavallaan vakiintuneesta asemasta. Kiitän sinua siitä.
Jos sinä olet minä enkä minä voitkin varmasti kertoa mikä oli nimimerkki, jota Bits(c) käytti ennen kuin nimimerkiksi vakiintui Bits(c)? Samoin voit varmasti kertoa, miksi juuri Bits(c) ja miksi se on vaihdettu?
Koskakohan suomi24 toteuttaa sen, että nimimerkit täytyy rekisteröidä? Tarvetta sille varmasti on.
IMHO riittäis jos ihmiset vaivautuis tutustumaan netikettiin...
http://www.cs.tut.fi/~jkorpela/internet/netiketti.html
ihmiset noudattais kanssa niitä netikettejä. :/
Ongelma on hyvin yleinen, tuo nimimerkkien väärentäminen, tai siis toisen nimissä kirjoittelu. Samaa asiaa, tuota nimimerkkien rekisteröintiä on pohdittu muuallakin.
Mutta kuka ikinä lieneekin tuon ekakn viestin laittanut niin jos tuo on totta niin muistaa aina laittaa linkin johonkin uutissivulle tai mistä tieto onkin peräisin. On nimittäin paljon uskottavampaa kun voi tarkistaa asian.
Netiketissä kyse on ihan vain samasta kuin normaalielämässä, käytöstavoista. Kun vaan ihmiset... :-)
Ei mulla nyt varsinaisesti ole mitään rekisteröimistä vastaankaan, mutta Intternetti on vähän ninkus luonteeltaan anonyymi. Ja nimimerkin väärentämisen takiahan minäkin sen aikanaan vaihdoin...
Mitä taas tulee uskottavuuteen...
"tiedot ovat vain ne tallentaneen hakkerin eli tässä tapauksessa root-oikeuksillä olevan rikollisen käytössä"
Haluaisin nähdä miten *NIX-systeemillä tallennetaan tietoa niin, että ne ovat vain yhden käyttäjän käytettävissä. Tuossahan väitetään, että tiedot ovat _vain_hakkerin_ käytössä, ei rootin...
Korjatkaa jos olen väärässä.
Kyllähän häirikkö vähän aikaa riehuu, jonka jälkeen se kyllästyy ja lopettaa. Mitä rekisteröitymiseen tulee niin itse olisin sellaisen puolella, että rekisterötäisiin pelkkä nimimerkki eikä kerättäisi mitään tietoja käyttäjästä. Sisäänkirjautumisen voisi sitten hoitaa vaikka kekseillä.
Itse näkisin ennemmin käyttäjätunnus / passu -yhdistelmän.
Toisaalta, kohtahan _on_ joulu :-)
Mä oon kans mielummin tuon tunnus/salasana-yhdistelmän kannalla. Ne keksit kun on tapana tuhota ja aika harvoin niitä tulee edes koneelle päästettyäkään.